TensorLake npm SDK zur Verbreitung von Anmeldeinformations-Diebstahl-Malware verwendet

Zusammenfassung

Eine kompromittierte Veröffentlichung des Tensorlake npm SDK, Version 0.5.144, wurde in einem Lieferkettenangriff im Zusammenhang mit ChainDrop / Shai-Hulud entdeckt. Das bösartige Paket missbraucht einen vorinstallierten Hook, um einen verschleierten Loader zu starten, der einen Anmeldeinformations-stehlenden Wurm installiert. Die Malware zielt auf sensible Token, Cloud-Anmeldeinformationen und KI-Entwicklungstool-Konfigurationen ab und enthält zudem einen zerstörerischen Selbstzerstörungsmechanismus.

Untersuchung

Socket Research entdeckte den Kompromiss, nachdem ein bösartiger Preinstall-Hook innerhalb des Paketmanifests erkannt wurde. Die Analyse zeigte, dass der Loader Bun verwendet, um eine Nutzlast auszuführen, die Anmeldeinformationen ernten und sich über npm verbreiten kann. Forscher identifizierten auch einen PowerShell-basierten Persistenzmechanismus und eine Ethereum-basierte Technik zur Auflösung von Kommando- und Kontrollinfrastrukturen.

Minderung

Benutzer sollten sofort Tensorlake Version 0.5.144 blockieren und entfernen und alle Umgebungen prüfen, in denen das Installationsskript möglicherweise ausgeführt wurde. Der gh-token-monitor Persistenzmechanismus sollte entfernt werden, bevor kompromittierte GitHub-Tokens widerrufen werden, um den Selbstzerstörungsmechanismus und das mögliche Löschen von Verzeichnissen zu vermeiden. Organisationen sollten außerdem offengelegte Geheimnisse rotieren, einschließlich AWS-, GitHub- und Kubernetes-Anmeldeinformationen.

Reaktion

Jeder Host, der den bösartigen Code ausgeführt hat, sollte als vollständig kompromittiert behandelt und für Untersuchungen isoliert werden. Identifizierte Persistenzdateien und geplante Aufgaben auf Linux-, macOS- und Windows-Systemen entfernen. Nach der Beseitigung der Persistenzmaßnahmen sollte eine vollständige Anmeldeinformationsrotation durchgeführt und betroffene Umgebungen von vertrauenswürdigen, bekannten guten Quellen neu aufgebaut werden.

Simulation Ausführung

• Angriffserzählung & Befehle: Der Gegner hat erfolgreich anfänglichen Zugriff erlangt und versucht, Persistenz aufzubauen. Nach der Shai-Hulud-Methodik bringt der Angreifer ein bösartiges Binary mit dem Namen gh-token-monitor in einem versteckten Verzeichnis (z.B. /tmp/.hidden/). Das Ziel ist es, diesen Prozess auszuführen, um GitHub-Tokens zu überwachen, was weiteres Ernten von Anmeldeinformationen und seitliche Bewegungen ermöglichen würde. Der Angreifer führt das Binary aus, um seine Präsenz zu etablieren, was die Erkennungsregel basierend auf dem Dateinamen auslösen sollte.

• Regression Test-Skript:

  #!/bin/bash
  # Erstelle ein verstecktes Verzeichnis, um das Verhalten des Gegners nachzuahmen
  mkdir -p /tmp/.hidden/
  
  # Erstelle ein Dummy-Binary namens gh-token-monitor
  echo -e '#!/bin/bashnecho "GitHub-Tokens werden überwacht..."nsleep 3600' > /tmp/.hidden/gh-token-monitor
  
  # Mache das Dummy-Binary ausführbar
  chmod +x /tmp/.hidden/gh-token-monitor
  
  # Führe das Binary aus, um die Erkennungsregel auszulösen
  /tmp/.hidden/gh-token-monitor &
  
  # Erfasse die PID, um Bereinigung zu ermöglichen
  ATTACK_PID=$!
  echo "Simulation läuft mit PID: $ATTACK_PID"
  sleep 5
  kill $ATTACK_PID

• Bereinigungsbefehle:

  # Entfernen Sie das bösartige Verzeichnis und das Dummy-Binary
  rm -rf /tmp/.hidden/